ガ イ ド ラ イ ン 新 旧 対 照 表頁

項目
4 2 社内規定・組織4 外部認証旧内容
4 外部認証情報セキュリティ分野の第三者認証制度としては、プライバシーマークとISO/IEC27001 の認証があります。こうした制度の認証を取得、維持している処理業者は、社内の管理体制が整っていることを客観的に評価する目安になります。
プライバシーマーク制度は、一般財団法人日本情報処理開発協会(JIPDEC)が、個人情報を適切に取扱っている組織を一定の基準で認定し、プライバシーマークの使用を認定するものです。プライバシーマークは、
通称 P マークと呼ばれています。プライバシーマーク制度は、個人情報保護法の規定と同等以上の保護水準を規定しており、個人情報保護法の関連法令にも適合するよう求めています。取得が認定されると、P マークを自社のパンフレットやウェブサイトなど公の場で使用することができ、個人情報の安全な取扱いを社会に対してアピールできるというメリットがあります。
ISO/IEC27001 は、英国の BS7799-2 規格をベースに開発された国際規格で、技術的なセキュリティ対策のほか、組織全体のマネジメントとして情報セキュリティ対策を講じる仕組みです。つまり、プライバシーマークが、社会の要求レベルに沿った「個人情報」の保護を主に置いているのに対し、ISO/IEC27001 は経営者がその組織に見合った対策を決定し、「情報資産」を保護することを目的としています。また、プライバシーマークは会社全体で取得するものですが、ISO/IEC27001 は業種や業務分野ごとに取得することができます。両者の共通点としては PDCA(Plan-Do-Check-Act)のサイクルを持続し、目的に即した管理体制を構築・改善していくことです(表 1)。

頁

新項目

内容

変更理由等
ISO27001 は情報資産の管理、P マークは個人情報の取扱いに関する認証となります。主に排出者の文書管理の分野の認証であるため、廃棄段階に特化したガイドラインとは対象範囲が異なりますことから、削除します。

4 削除

表 1 ISO/IEC27001 と P マーク
5 2 社内規定・組織の5 再委託（緊急措置）

4 2 社内規定・組織
4 再委託
4.1 緊急時の再委託
4.2 業務を遂行するための再委託

5 再委託（緊急措置）
機密文書処理の再委託は原則行わないものとします。やむを得ず再委託が必要な場合は、再委託基準を定めて、それに基づいて行います。再委託の内容について、発注先と再委託先の両方と書面(契約)を交わします。緊急措置として再委託が必要な例としては、車両の故障、処理施設の故障、従業員の大量病欠(インフルエンザ)などがあげられます。なお、再委託する場合であっても、再々委託は禁止します。

1

4 再委託
機密文書処理業務は、その性質上セキュリティの確保が最も重要な業種であり、排出者が処理を委託するにあたっても最も重視する事項としてあげられます。業務の再委託は排出者が直接選定していない処理業者（再委託先）が機密文書処理を行うことになることから、やむを得ず必要な場合を除いて再委託をすべきではないという趣旨で「原則禁止」とします。ただし、緊急時や顧客が提示する要件などにより、当初の機密文書処理を円滑に行うためには再委託が必要となる場合があります。
4.1 緊急時の再委託
緊急時とは、業務を実施するにあたり予測することができない事態が発生した場合のことで、例として自然災害、車輌の故障、処理施設の故障、従業員の大量病欠(インフルエンザなど)をあげることができます。自社の施設の処理能力の超過は、緊急時とはみなされません。また、緊急時に再委託する場合であっても、再々委託は認められません。
緊急の事態が発生した場合は、排出者とどのような対応を行うか協議

緊急時の再委託は、自然災害など想定外の事態が発生し場合の緊急避難的な委託を指します。
業務を遂行するための再委託は、自社のみでは顧客の要求を満たすことができない業務を同業者等と連携することで完遂するための委託を指します。
いずれの場合も、再委託が望ましいわけではありませんので、再委託せざるを得ない場合の措置となります。

頁

旧項目

内容
① 再委託先との機密保持契約の締結② 再委託が必要な理由③ 再委託先の選定理由④ 再委託先に対する業務の管理方法⑤ 再委託先の名称、代表者および所在地⑥ 再委託する業務の内容⑦ 再委託先のセキュリティ管理体制

頁新項目

内容
します。協議する内容は、処理延期の可否、延期の際の文書保管場所、再委託の可否等が挙げられます。
排出者に再委託先を提示する際に伝える項目の例はつぎのとおりです。
① 再委託が必要な理由② 再委託先の選定理由③ 再委託先に対する業務の管理方法④ 再委託先の名称、代表者および所在地⑤ 再委託する業務の内容⑥ 再委託先のセキュリティ管理体制
緊急の事態が発生してから再委託先を選定することは容易ではないことから、事前に再委託先に想定した業者と緊急時の再委託に関する確認書などを準備しておくことが望まれます。
4.2 業務を遂行するための再委託
現状の機密文書処理市場では、排出者からの受託業務を円滑に遂行するために再委託が必要な場合があります。再委託する場合の前提として、元請会社が実際に機密文書処理事業を行っており、排出者からの受託内容を満たすためには、他業者の協力が不可欠な状況であることが必要です。なお、「元請会社が実際に機密文書処理事業を行っており」とは、このガイドラインの対象である収集運搬（選別・中継を含む）、移動式裁断、定置式破砕及び（直接）溶解の一つ以上の業務を実際に行っていることを意味します。自社単独で受託内容を満たすことができる場合は、再委託は認められません。また再々委託は、認められません。
こうした措置の背景として、現状の日本の機密文書処理市場では、再委託を前提とした機密文書処理を行うことの方が現実的である場合がみられます。たとえば、機密文書処理を委託する排出者が全国規模の場合はありますが、現状では全国規模の機密文書処理会社は存在しません。
こうした場合、全国に点在する同業者との協力体制を整備し対応するのが一般的で、同業者との契約形態としては再委託に該当します。
再委託にあたって、「責任の所在」は元請会社にあることを明確にし、あらかじめ排出者の承諾を得るとともに、業務を円滑に遂行するため、再委託先のセキュリティを確保する必要があります。再委託先の機密文書処理会社が、再委託する業務について各社が定めた基準を満たしている場合は、再委託可能と判断されます。このガイドラインの末尾に掲載した「チェックリスト」を参考にし、再委託基準を作成することもできます。
【再委託契約の例】
排出者は、元請会社と業務契約を締結します。業務委託契約に、統括管理と秘密保持に関する条項を含めるか、別途統括管理契約及び秘密保持契約を締結します。元請会社は、再委託基準に基づき業務委託契約や秘密保持契約を締結します。この場合、再委託基準は自社の基準に基づいた再委託可能レベルである必要があります。

2変更理由等

頁

旧項目

内容

新変更理由等
項目内容◆Box-G1 改正個人情報保護法と EU 一般データ保護規則（GDPR）◆
現行のガイドライン策定後の主要な
6 改正個人情報保護法と EU 一般データ保リサイクル対応型機密文書処理ガイドラインが策定された 2014 年 2 月 動向として、改正個人情報保護法
護規則（GDPR）（平成 26 年 2 月）以降、大きな動向として国内では 2003 年に制定された （2017年5月30日施行）
及びGDPR「個人情報の保護に関する法律（個人情報保護法）」（2005 年施行）がほ （2018 年 5 月 25 日適用）の要点をぼ 10 年ぶりに改正されて 2017 年 5 月 30 日に全面施行されました。2016 ボックスにて紹介します。
年 1 月 1 日には個人情報を所管する行政機関として個人情報保護委員会（前身は 2014 年 1 月 1 日に設置された特定個人情報保護委員会）が設置されています。
またヨーロッパにおいても 1995 年に採択された「EU データ保護指令（Data Protection Directive 95）」に代わり、2016 年 4 月に制定された「 EU 一般デー タ保護規則 （ General Data Protection Regulation:GDPR） 」が 2018 年 5 月 25 日に施行されました。EU データ保護指令が加盟国による法制化が必要であったのに対し、GDPR は加盟国に同一に直接効力を有します。
これら 2 つの法規制の改正は、情報のデジタル化の著しい進展と個人データの取扱いのグローバル化に対応し、個人データの保護を強化する一方、事業者による個人データの積極的な利活用を可能にすることを目的としています。両法ともに個人データの取扱いを規定したもので、個人データの抹消と記録媒体の処理に関しては具体的な規定はありませんが、機密文書の廃棄段階の取扱いにおいて参考になる考え方がみられます。
【改正個人情報保護法】
改正個人情報保護法は、安全管理措置（第 20 条）、従業員の監督（第 21条）及び委託先の監督（第 22 条）について規定しています。
個人情報取扱事業者（以下「取扱事業者」という。）が、個人データの安全管理のため講じなければならない必要な安全管理措置として、ガイドラ
イン で組織的安全管理措置、人的安全管理措置、技術的安全管理措置、物理的安全管理措置の 4 つをあげています。取扱事業者は、自社の従業員がこうした安全管理措置を遵守するよう監督しなければなりません。また個
人データの取扱いを委託する場合は、自社が講ずる安全管理措置と同等の措置を講じるよう委託先を監督することが求められています。さらに委託先を選定するにあたっては、委託先の安全管理措置が第 20 条及びガイドラ
インが求めているものと同等であることをあらかじめ確認しなければならないとしています。
【GDPR】
GDPR は EU の法規制ですが、EU 域外に立地する事業者等であってもEU 市民の個人データを処理する場合は規制対象になります（第 3 条）。
同規則は個人データの処理を「収集、記録、編集、構成、記録保存、修正若しくは変更、検索、参照、使用、送信による開示、配布、又はそれら以外に利用可能なものにすること、整列若しくは結合、制限、消去若しくは抹消」と定義しています（第 4 条(2)）。
GDPR は、個人データの処理の目的と手段を決定する「管理者」及び管理者に代わって個人データを処理する「処理者」について規定（定義）しています（第 4 条(7)(8)）。管理者に代わって処理者が個人データを処理する場合は、管理者は適切な技術的組織的措置を講じている処理者のみを利用しなければなりません。GDPR は処理者が個人データの処理を再委託することを認めていますが、再委託先が適切な技術的組織的措置を講ずること

頁

3

頁

旧項目

14 6 輸送（共通）
3 法令などの遵守

16 7 計量
前文

20 9 選別・中継
前文 10 行目
21 10 破砕施設（定置式）前文 4 行目

内容頁

新項目

3 法令などの遵守
機密文書の輸送にあたっては、排出者の社内ルール(敷地内の速度制限やヘルメット着帽など)、業界規範、過積載、駐車違反など法規制※を遵守し、エコドライブに努めます。これの法令などを確実に遵守するためには、排出者との綿密な確認作業が重要です。
※道路交通法、道路法、貨物自動車運送事業法など
7 計量
機密文書の計量は、移動式裁断、中継(積替え)、選別(定置式)、破砕施設(定置式)、溶解施設の共通項目です。移動式裁断では、機密文書の引取り時に計量を行います。中継施設、選別施設、破砕施設および溶解施設では、機密文書の到着時に計量を行います。

30 14 法令などの遵守の 2 関連法規に統合

2 社内規定・組織の「5 再委託(緊急措置)」で規定した通り、選別工程の再委託は原則禁止します。
2 社内規定・組織の「5 再委託(緊急措置)」で規定した通り、選別工程の再委託は原則禁止します。

21 削除

17 7 計量

内容を求めています。再委託先が、個人データ保護の義務を履行できない場合は、最初の処理者が管理者に対し全責任を負うことになります（第 28 条 1及び 4）。
GDPR の規定に違反した場合に多額の過料が課せられます。過料の上限額は、違反の性質によって 2 つに分かれています。一つは、10,000,000 ユーロを上限とする過料で、前年度の総売上高の 2%と比較して、いずれか高い方の額が課せられます。もう一つは、20,000,000 ユーロを上限とする過料で、前年度の総売上高の 4%と比較して、いずれか高い方の額が課せられます（第 83 条 4 及び 5）。

変更理由等

輸送関連の法規制を他の遵守すべき法規制に含めてまとめて列挙します。

7 計量
計量以外に数量の検収を追加し、排機密文書の計量は、移動式裁断、中継(積替え)、選別(定置式)、破砕施設 出者と合意した方法（重量、箱数、袋(定置式)、溶解施設の共通項目です。移動式裁断では、機密文書の引取り時 数など）での確認を追加します。に計量又は数量（箱数、袋数、台数、作業回収など）による検収を行います。中継施設、選別施設、破砕施設および溶解施設では、機密文書の到着時に計量又は数量による検収を行います。
排出者の事業所での計量又は数量による確認は、排出者と合意した方法（重量、箱数、袋数など）で行われるため、処理施設での計量又は数量による検収は合意した方法での確認が必要となります。「5 機密文書の搬出」の搬出作業の相互確認と密接に関係する事項です。
その他に、セキュリティボックスの台数、作業回数なども数量の確認方法に含まれます。
再委託の規定を加筆修正するためこの記述は削除します。
再委託の規定を加筆修正するためこの記述は削除します。

22 削除

27 12 ゾーニング

4

1 ゾーニングによるアクセス管理
ゾーニングとして「移動式裁断」、「選移動式裁断車両での裁断処理や選別・中継施設、定置式破砕施設及び溶 別・中継」、「破砕施設(定置式)」、解施設では、従業員の情報へのアクセス権限を設定し、アクセス管理を行 「溶解施設」のゾーニングの考え方います。アクセス管理を行う上で必要な概念がゾーニングです。
を記述します。
2 ゾーニングの基本的な考え方ゾーニングの基本的な考え方は、つぎのとおりです。
① 従業員のセキュリティレベルを設定する際に、アクセスレベル 1 の従業員がレベル 2 を飛び越えてレベル 3 にアクセスできる設定はしません。
② アクセスレベルによって入退可能なゾーン（区域）が制限されます。
アクセスレベルが高くなるほど、当然アクセス権限を与えられた従業員の人数は減少します。またレベル 3 の従業員はレベル 2 及びレベル1 の区域への入退はできます。

頁

旧項目

内容

頁

新項目

内容
③ ゾーニングの基本区分は、非セキュリティゾーンとセキュリティゾーンです。監視カメラの設置や警備の状況などによって、セキュリティレベルを設定します。
④ ゾーニングにより、低いレベルの区域から高いレベルの区域に移動する場合は「セキュリティ装置」を設置します。重要な区域については、有人受付や認証システム（カードや指紋など）など、認証が必要な「セキュリティ装置」を設置します。
⑤ レベルの高い区域から低い区域へ移動する場合でも、ログ（たとえば退室するまでの時間や入室者の識別）を取得しておくようにします。
これは事件事故発生時には重要な証拠となるので、セキュリティの確保が必要な重要な区域の入退では、退室する場合にもセキュリティ装置を設置します。

変更理由等【ゾーニングの例 1～移動式裁断～】【ゾーニングの例 2～選別・中継施設～】【ゾーニングの例 3～定置式破砕・溶解～】
参考 ゾーニング
27 13 法令などの遵守

1 法令の遵守
機密文書処理業を営むにあたって、多数の関連する法規制があります。
こうした法規制には、条例、要綱・要領、ガイドライン、規範なども含まれます。法規制の中には、頻繁に改正される法律や規則もあり、定期的に自社に適用されるかどうかを確認する必要があります。機密文書処理の流れ(工程)という視点で法規制をみると、その規制対象は、排出者(顧客)、処理業者、製紙工場の 3 者が関係してきます。処理業の事業範囲に照らして、法規制の適用を判断する必要があります。
2 関連法規環境基本法や循環型社会形成推進法などは、国の基本方針や事業者の責務を述べるにとどまる理念法です。廃棄物の処理及び清掃に関する法律(廃掃法)や資源の有効利用の促進に関する法律(資源有効利用法)などの規制法は、事業者に具体的な履行義務を課したり、数値目標を設定しています。とくに履行義務を課す規制法は、その内容を十分把握する必要があります(図 2)。
図 2 機密文書処理に関連する法令など

30 14 法令などの遵守

1 法令の遵守
図 2 機密文書処理に関連する法令な
機密文書処理事業を行う上での関連法規制は、法律、政省令、条例など どを表形式に変更し、関連法規及びが含まれます。法規制の中には、毎年のように改正されるものもあるので、 条例等を列挙します。機密文書処理
機密文書処理事業に関連する条項の改正状況を適宜確認し、社内に周知で 会社の業務範囲によって遵守すべききる体制を整備します。機密文書処理事業に関連する法規制は広範に及び 法規制も異なることから、記述を若ます。
干修正します。

2 関連法規こうした法規制を適切に遵守するためには、事業区分や工程に適用される法規制を洗い出し、「関連法規制一覧表」などを作成し、定期的（たとえば年 1 回）に改正状況を確認する作業が必要です。法規制の遵守に加えて、事業所や処理施設が立地している自治体の機密文書処理やリサイクルに対する方針や見解との整合性を維持した事業実施も重要です。
【関係法規制等一覧表の例】【東京都及び中央区条例一覧表例】

3 自治体
環境基本法、廃掃法、個人情報保護法など国の法律に基づいて、都道府県や市区町村は条例や規則あるいは要綱・要領などを制定しています。機
密文書の収集運搬を行う地域や処理施設の立地地域の条例などは確認しておくことが重要です。
このガイドラインは、紙媒体に記録された機密情報を抹消し、紙資源をリサイクルする業務の規範を定めたものです。一般廃棄物に関する方針や見解は、自治体によって異なる可能性があります。自治体の方針に従って処理事業を行います。

5旧項目
内容
28 14 リサイクル適性 1.3 製紙工場などの要望
1.3 製紙工場などの機密文書の受入れ予定先である製紙工場などと受入れ条件などについ要望て協議し、その条件を満たすようにします。

頁

30 チェックリスト

No.

項目

1 機密文書処理基本方針
2 機密文書処理規程

3 組織体制4 情報セキュリティ
5 環境管理6 外部認証

7 再委託(緊急措置)

内容

新項目
内容
32 15 リサイクル適性 1.3 製紙工場などの要望
1.3 製紙工場などの機密文書の受入れ予定先である製紙工場などと受入れ条件などについて要望協議し、その条件を満たすようにします。
排出する機密文書から取り除くことが望まれる異物などは、（公財）古紙再生促進センター制定の古紙標準品質規格の禁忌品を参照してください。
34 チェックリスト
項目
内容
No,頁

1 機密文書処理基本方針
2 機密文書処理規程

機密文書の処理基準や管理体制について会社の方針を定めている。

変更理由等
機密文書から取り除くことが望まれる異物について、（公財）古紙再生促
進センターの禁忌品を参照してもらうようにします。

項目の追加や削除などに合わせてチェックリストを修正します。

セキュリティとリサイクルの 2 つの視点で機密文書の処理基準や管理体制などについて機密文書処理規程を策定している。

3 組織体制
社内的に個人情報や社外秘文書の取扱いなど情報管理システムを整備している。
社内的に環境管理やリサイクルシステムを整備している。
P マーク、ISO/IEC27001、ISO14001 な
どセキュリティの確保や資源リサイクルへの取組みを客観的に評価する外部認証を取得している。
原則として、処理の再委託を禁止している。ただし、緊急時などやむを得ず再委託が必要な場合は、再委託基準を定めて発注先と再委託先の両方と書面(契約)を交わして、業務を行っている。

削除
削除
削除

4 緊急時の再委託

緊急時などやむを得ず再委託が必要な場合 変更は、再委託基準に従って排出者の了解を得て、再委託している。

5 業務を遂行するための 業務を遂行するために再委託が必要な場合 新規再委託は、自社が定めた再委託基準に従って再委託先を選定している。
6 機密保持誓約書
7 従業員研修8 従業員研修の講師
9 従業員研修の記録
業務時間中は、許可された本人であること 新規
10 身分証明書(ID)の携帯が容易に認識可能なものを身につけて業務を行います。
11 写真付身分証明書(ID)の携帯
12 現場視察
13 現場の事前確認
14 機密文書の搬出

8 機密保持誓約書
9 従業員研修10 従業員研修の講師
11 従業員研修の記録

12 写真付身分証明書(ID)の携帯
13 現場視察
14 現場の事前確認
15 機密文書の搬出

6

頁

旧項目
チェックリスト
(続き)

内容
16
17
18
19

搬出作業完了の確認
輸送車両の構造
輸送車両の施錠
輸送車両のセキュリテ
ィ装置
20 輸送に関する法令の遵
守
計量は、処理施設の敷地内で行っている。
21 計量頁

新項目
チェックリスト(続き)

37383940414243
44454647484950

変更理由等

搬出作業完了の確認
輸送車両の構造
輸送車両の施錠
輸送車両のセキュリテ
ィ装置

計量又は数量による検収は、処理施設の敷地内で行っている。

20 計量の客観性
21 機密文書の荷下ろし
22 機密文書の梱包状態の確認
23 搬入数量の確認
24 機密文書を取扱う重要な施設の構造
ゾーニングによりアクセス管理を徹底して 新規
25 ゾーニングいる。
新 28 へ順番移動
26 入退制限27 入退の管理
旧 27 から順番移動
28 訪問者
29 入退記録
30 入退記録の保管
31 機密抹消処理
32 処理状況の確認(立会)
33 証明書の発行
34 監視カメラの設置
35 一時保管する場合の警備
36 映像の保管
37 異物の選別除去
38 残さの処理
39 緊急事態対応
40 保険の加入
41 賠償の範囲
42 関連法規制等の遵守
43 自治体の方針
44 単純焼却の回避
45 排出者による選別
46 引取後の選別
47 製紙工場の要望
48 輸送の効率化
49 低燃費・低公害車

27 訪問者
28 入退制限29 入退の管理

3435
3615161718

19 計量

22 計量の客観性
23 機密文書の荷下ろし
24 機密文書の梱包状態の確認
25 搬入数量の確認
26 機密文書を取扱う重要な施設の構造30313233

内容

入退記録
入退記録の保管
機密抹消処理処理状況の確認(立会)
証明書の発行
監視カメラの設置一時保管する場合の警備
映像の保管
異物の選別除去
残さの処理
緊急事態対応保険の加入
賠償の範囲
関連法規制等の遵守
自治体の方針単純焼却の回避
排出者による選別
引取後の選別製紙工場の要望
輸送の効率化
低燃費・低公害車

7

頁

旧項目
チェックリスト
(続き)

頁

内容
51
52
53
54
55
56

処理方法
セキュリティ対策
リサイクル先処理量の報告相互確認
セキュリティとリサイ
クル

38 用語の説明

用語
ISO/IEC27001

新項目
チェックリスト
(続き)

削除
削除
削除
50 処理完了証明書
削除
削除

内容

42 用語の説明

用語2005 年 10 月に発行された情報セキュリ
ティ・マネージメントシステムの国際規格のことです。
一般データ保護規則

機密文書

プライバシーマーク

変更理由等

内容

事業者などが機密として指定した書類などの文書をいいます。行政機関で発生する行政文書で保管や保存されている文書も含まれます。
日本工業規格(JISQ15001)に適合して、個人情報について適切な保護措置を講ずる体制を整備している事業者などが、使用することが認められるマークで、通称 P マークと呼ばれています。

機密文書

8

内容項目の追加や削除などに合わせて説明が必要な用語を修正します。
削除

1995 年の「EU データ保護指令」を改正し 新規た EU の規則で、日本の個人情報保護法に該当します。EU データ保護指令が加盟国による法制化が必要であったのに対し、「一般 デ ー タ 保 護 規 則 （ General DataProtection Regulation: GDPR）」は加盟国に同一に直接効力を有します。GDPR は2018 年 5 月 25 日に施行されています。
事業者や行政機関が機密（秘密）として管 変更理する書類のことで、一般的には個人情報、営業情報、法定保存文書の 3 つに分けられます。
削除